Zarządzanie bezpieczeństwem w sieciach dr inż. Robert Banasiak, mgr inż. Rafał Jachowicz, Instytut Informatyki Stosowanej PŁ, 2013 Temat: Proste aplikacje IDS oraz monitory sieci Celem ćwiczenia jest poznanie oprogramowania typu IDS oraz oprogramowania typu analizatory sieci. Zapory ogniowe nie zapewnią pełni bezpieczeństwa. Drugą linię obrony stanowią sieciowe systemy wykrywania włamań (IDS - Intrusion Detection System). Aplikacje IDS monitorują, wykrywają i reagują w czasie rzeczywistym na nieautoryzowane działania w sieci. Większość ataków mieści się w jednej z trzech kategorii: rozpoznawanie struktury sieci (np. skanowanie portów), wykorzystanie istniejących luk w celu uzyskania dostępu do sieci, ataki DoS, blokujące/utrudniające działanie systemu lub przeciążające sieć IDS rozpoznaje takie działania, skanując ruch i poszukując sygnatur znanych ataków. Sygnatury te zazwyczaj zgromadzone są w samej aplikacji. Często mogą być edytowane lub aktualizowane (pozwala na to np. program Snort omawiany w ramach wykładu). Program ten poszukuje anomalii w ruchu i stosowania protokołów oraz oznak nieuzasadnionych działań, które mogą doprowadzić do ataku z zewnątrz lub wewnątrz sieci. Każdemu użytkownikowi lub urządzeniu można przypisać pewien wzorzec użytkowania sieci. Odchylenie od tego wzorca może być uważane za potencjalna próbę ataku. Po rozpoznaniu ataku mogą być podjęte odpowiednie przeciwdziałania, a zdarzenia takie są rejestrowane w dzienniku do późniejszej analizy. System EasyIDS (http://sourceforge.net/projects/easyids/) Dystrybucja EasyIDS to samodzielny system operacyjny pełniący role rozbudowanego systemu IDS, który zarządzany może być poprzez interfejs WWW (EasyIDS zawiera wbudowany serwer WWW). System posiada ponadto wbudowana bazę MySQL, służąca do przechowywania informacji o aktywności w sieci. Host z EasyIDS musi posiadać przynajmniej dwa interfejsy sieciowe: Eth0 (Interfejs konfigurowany za pomocą DHCP) z tego interfejsu mamy dostęp do zasobów WWW EasyIDS, ten fragment sieci nosi nazwę sieci zarządzającej (management network), bo z niej możemy zarządzać naszym IDS-em, EasyIDS nie uruchomi się (przynajmniej za pierwszym razem), jeśli Eth0 nie zostanie skonfigurowany dynamicznie za pomocą DHCP, Eht1 (Interfejs konfigurowany za pomocą DHCP lub statycznie) interfejs ten jest podłączony do sieci, która ma być monitorowana. 1
Zadanie 1 1. Skonfiguruj siec zarządzająca według poniższego schematu Rys 1. Konfiguracja ćwiczeniowa 2. Do przetestowania działania serwera DHCP można użyć dowolnego hosta (maszyna wirtualna z jednym interfejsem sieciowym). 3. Zainstaluj EasyIDS jako wirtualną maszynę VirtualBox: a. Typ maszyny: RedHat 32 bit baza w EasyIDS to CentOS 5.4, b. Pamięć RAM 256-512 MB, c. Dysk 2GB tryb dynamiczna alokacja przestrzeni dyskowej. 4. Wystartuj system z obrazu EasyIDS-0.4.iso. Postępuj zgodnie z instrukcjami pojawiającymi się na ekranie. System poprosi Cię o podanie nowego hasła dla użytkownika root. Rys 2. Okno logowania EasyIDS 5. Skonfiguruj interfejsy sieciowe: Eth0 konfiguracja za pomocą DHCP, Eth1 konfiguracja statyczna wg Rys1. 6. Ustanów hasło dostępu do panelu WWW za pomocą komendy: passwd-admin (będzie później potrzebne do zalogowania się do EasyIDS GUI wraz z loginem admin) 7. Z maszyny, na której znajduje się serwer DHCP (lub dowolnej innej, znajdującej się w tej samej sieci), używając przeglądarki WWW, zaloguj się do panelu kontrolnego EasyIDS (w przeglądarce należy podać adres interfejsu hosta z EasyIDS). 2
8. Podczas pierwszego uruchomienia system poprosi o zmianę hasła dostępu do bazy MySQL. 9. EasyIDS został wstępnie skonfigurowany (ilustracja poniżej). Zadanie 2 1. Skonfiguruj dalsza cześć sieci według poniższego schematu na Rys 3: Rys 3. Dalsza część topologii testowej 3
2. Role zapory ogniowej i jednocześnie routera pełni host z zainstalowanym system Linux, z wykorzystaniem mechanizmu iptables (skorzystać można z instrukcji do przedniego ćwiczenia). Zadania, jakie musi spełniać zapora / router: Routing pomiędzy siecią wewnętrzna (adres sieciowy 192.168.1.0/24), a siecią zewnętrzna (może to być siec rzeczywista w pracowni). Translacje NAT. 3. Stacja PC może mieć zainstalowany dowolny system operacyjny. Wygeneruj dowolny ruch w sieci (z/do stacji roboczej, różne usługi i protokoły), następnie zaloguj się do EasyIDS i sprawdź zarejestrowany ruch: Zadanie 3 Przygotuj raport w postaci elektronicznej: a. Co pokazało narzędzie Arpwatch? b. Co pokazało narzędzie Ntop? i. Jaki był udział pakietów Unicast, Broadcast i Multicast? ii. Jakie były długości pakietów? Jaka długość dominowała? iii. Jaki był TTL pakietów? Jaka wartość dominuje, a jaka jest średnia? iv. Co jeszcze można odczytać za pomocą tego narzędzia o ruchu sieciowym? c. Przetestuj narzędzie o nazwie ICMP Watch jakie informacje udostępnia? d. Co pokazało narzędzie Snort? e. Za pomocą narzędzie Nmap znajdź informacje o komputerach w sieci monitorowej przez EasyIDS. 1. Skonfiguruj dalszą część sieci według poniższego schematu na Rys 4: Rys 4. Dalsza część topologii testowej Stacja PC Włamywacz imituje host z sieci zewnętrznej, z którego dokonywany będzie atak. Za pomocą narzędzia Nmap dokonaj skanowania portów sieci. 4
http://nmap.org/man/pl/ - Pod tym adresem znajduje się opis programu Nmap oraz technik skanowania portów. Zapoznaj się z tymi technikami, a następnie używając komputera w sieci wewnętrznej (Klienta) oraz komputera Stacja PC - włamywacz wykonaj skanowanie portów routera brzegowego, czyli w naszym przypadku hosta pełniącego role bramy-zapory. Zastosuj techniki: Skanowanie TCP SYN, Skanowanie TCP connect(), Skanowanie UDP, Skanowania TCP Null, FIN i Xmas, Skanowanie Null, Skanowanie FIN, Skanowanie Xmas, Skanowanie TCP ACK, Skanowanie TCP Window, Skanowanie protokołów IP. Przygotuj raport w postaci elektronicznej: a. Jakie informacje udało się uzyskać? b. Jak zabezpieczyć naszą sieć? c. Co zarejestrował EasyIDS? Zadanie 4 Zabezpiecz sieć wprowadzając odpowiednie reguły iptables na hoście bramie. Przeprowadź ponownie ataki z Zadania 3 i sprawdź wpływ nowych reguł na bezpieczeństwo systemu. Przykład zabezpieczenia przed skanowaniem typu TCP FIN: Zadanie 5 iptables A INPUT m conntrack --ctstate NEW p tcp --tcp-flags SYN,RST,ACK,FIN,URG,PSH FIN j DROP Pobierz z Internetu i zainstaluj na komputerze-bramce aplikacje DarkStat. Program analizuje ruch sieciowy na danym hoście, a statystyki tego ruchu obejrzeć można za pomocą przeglądarki WWW (podobnie jak w przypadku EasyIDS). Uruchomienie analizatora ruchu DarkStat : darkstat [-d] i interfejs_nasłuchiwany [ -b interfejs dla WWW] -[d] Ten opcjonalny przełącznik umożliwia uruchomienie darkstat-a w trybie daemon. i interfejs_nasłuchiwany interfejs, na którym prowadzony jest nasłuch 5
-b interfejs dla WWW opcjonalnie można ustawić interfejs, na którym pracuje serwer WWW darkstat-a. Domyślny port to port 667. Przykład polecenia uruchamiającego darkstat: darkstat d i eth0 b 192.168.1.1 Uruchom program Darkstat oraz wygeneruj różnorodny ruch w sieci. Dokonaj skanowania portów tak jak w zadaniu 3. Zadanie 6. Przetestuj w taki sam sposób jak w Zadaniu 5 oprogramowanie Wireshark. 6